個人信息網絡侵權中知情同意的邊界問題

尹 洋

（青海民族大學,青海 西寧 810007）

確立于前信息時代的知情同意規則在數字時代逐漸顯現出制度上的不適應。知情同意規則的功能本位本應是衡平個人信息的利用和保護，使其既能保護當事人在個人信息上的合法權益，又能發揮其作為生產要素促進經濟發展的作用。然而，近年來，不斷攀升的個人信息侵權事件讓知情同意規則面臨諸多質疑。例如，Mozilla基金會發布的一項關于25家車企隱私評價報告中顯示，25家車企都會過度收集個人信息，其中84%的車企會與第三方共享，76%的車企會將這些個人信息售賣給第三方[1]。在工信部2023年發布的侵害個人信息權益的App清單中，最普遍的侵權情形就是過度收集個人信息，其中不乏百度、360等互聯網巨頭[2]。因此，需要重塑知情同意規則的功能，在現有的規范體系下明確知情同意規則網絡適用的應有之義，以是否為對價場景為標準，建立場景類型化的適用標準，以此來明確知情同意規則的適用邊界，以期緩和知情同意困境，發揮其應有的功能。

1 知情同意規則的功能

知情同意規則體現了個人對人格自由與發展具有第一性，這僅從人文主義的角度進行解讀。為了更深層次地認識為何知情同意能成為個人信息流通的核心規則，可以從功能主義的角度解讀。功能主義的視角就是要看法律這一工具是否滿足、實現人們對它的功能定位與期待，也就是說功能主義注重某種需要、意圖或者目標，而不是恪守現存的規范體系，這使得功能主義更具有現實回應性[3]。因此，功能主義的釋義能明晰知情同意規則的現實功能，這也為后續完善知情同意規則提供了方向。

1.1 保護市場主體合法權益

個人信息具有私人屬性，但網絡化時代的個人信息已經成了一種重要的資源被運用于社會管理、企業創新等方面，使得個人信息被收集處理的過程中，其他市場主體通過合法信息處理行為，在個人信息或者個人數據上形成了自身合法利益。因此，個人和信息處理者都有可能成為相關利益主體。首先，對于個人信息利益相關度最高的個人而言，個人信息承載了自然人的人格屬性，體現了自然人的價值觀和偏好，自然人通過對個人信息的掌控，能夠建立自己在社會中的地位、角色和關系，進而形成獨特的身份認同，又是這些與自然人高度相關的身份信息，通過自然人的展示和共享與他人建立起社會關系網絡。因此，可以說個人信息是自然人在社會中的一張名片。其次，對于信息處理者而言，個人信息經過合法處理后，享有在個人數據上的合法權益。人類社會的發展離不開信息的流通，特別是在信息技術發達的今天，信息處理規?；⒆詣踊糯罅藗€人信息的經濟效用，個人信息經過去標識化處理成為個人數據，已經成為推動市場經濟發展的重要生產要素，并廣泛運用于社會管理、數據分析和企業創新等方面。但是個人信息并不天然地屬于個人數據，需經過信息處理者投入大量的成本來收集個人信息，并建立安全保障、信用體系與風險控制等相關制度，可以說正是信息處理者的高昂投入賦予了個人數據的高價值。因此，承認信息處理者在個人數據上的財產價值的控制權更符合個人財產權配置的原則和目標[4]。綜上，個人和信息處理者對于個人信息均享有合法權益。

1.2 增進信息流通透明和信任

知情同意規則的一項重要功能是提高流通的透明度，使信息主體明晰信息處理邏輯，進而增強對信息處理者的信任度。市場交易中的一個重要原則是交易公平，公平交易在個人信息流通中的體現就是交易中雙方應該具有相對對等的信息，以確保個人信息主體在交易中的劣勢地位得到平衡。因為在個人信息處理中，個人往往不具備與信息處理者同等的專業知識，從而造成信息不對稱。知情同意規則要求通過隱私政策、用戶協議等方式清晰、全面地告知個體有關信息處理的各個方面，有助于消除信息不對稱問題。個人信息主體在充分理解的基礎上作出真實的意思表示，而非基于信息不足或者被誤導。知情同意規則還可以被視為一種社會契約，信息提供方和信息處理者之間建立明確的協議，規定了信息的使用和處理方式，形成了相互尊重和信任的基礎，同時知情同意要求信息處理者履行告知和獲得信息主體提供方同意的義務，這些義務的履行使得各主體間的信任得以構建。由此可見，知情同意規則平衡了個人信息主體的不對等地位，促進了各主體之間信任關系的建立，從而形成健康的信息交易市場。

1.3 構建信息社會良好秩序

信息社會的形成離不開信息技術的發展，對信息技術應用的考量逐漸形成了信息社會的倫理特征。比如信息公平與公正、隱私保護、數字包容性和信息誠信等倫理規范，這些倫理規范共同塑造了當今的信息社會。知情同意規則通過規范信息處理流程，強調透明和告知原則，體現了信息倫理學中的關鍵價值，從而在信息處理中建立了倫理準則的基礎。同時，知情同意規則強調個體權益的保護，明確信息提供方和信息處理方的權利和義務，以法治原則為基礎，確保信息處理行為在法律框架下有序進行，使信息處理者在信息社會中承擔起更大的責任，強化了信息處理者的社會責任觀念。綜上可知，知情同意規則通過法定框架和倫理原則規范信息處理行為，確保了信息處理在法律和道德兩個維度具有可接受性，從而保障信息社會中信息處理的秩序。

2 知情同意規則網絡適用的異化

個人信息的流通依賴于知情同意規則功能作用的發揮，然而依托前信息時代基礎理論構建的知情同意規則在網絡空間中的適用出現困境。網絡空間所具有的開放性、信息過載和實時互動等特征使知情同意規則的功能無法正常發揮，從而造成了網絡空間中知情同意規則適用的異化。

2.1 知情同意規則流于形式

知情同意規則本應遵循信息處理者充分告知、信息主體在充分知情的情況下作出同意的邏輯，但是這3個階段在網絡空間中出現了不同的異化，導致知情同意流于形式。首先，在信息社會中，網絡充斥著人們的日常生活，每個人都需要使用大量的App。為了滿足個人信息處理的合法性要求，這些應用會通過隱私政策來履行告知義務。信息主體為了瀏覽網頁或使用App必須閱讀信息處理者提供的隱私政策，隱私政策中包含的法律術語具有一定的專業性，信息處理者為節省成本不會以用戶易于理解的方式作出解釋，這就使告知缺乏實質性，甚至有的不履行告知義務直接獲取個人信息，嚴重侵犯了用戶的知情權。其次，不少用戶在面對數量眾多、內容專業且冗長的隱私政策時，往往會感到信息過載。有研究表明，如果信息主體要閱讀其所有的隱私政策，每年需平均付出244個小時[5]。而隱私政策的專業性也為信息主體理解隱私政策的內容筑起了壁壘，這些內容可能使用戶無法準確理解而在形式上同意。最后，信息主體同意流于形式。有的信息處理者可能設置默認同意或預設項，使信息主體在注冊或者使用服務時已被默認同意某些款項。此種情況下，信息主體的同意是否真實有效存在疑問。雖然《個人信息保護法》對于同意進行了不同種類的劃分，但是實踐中信息處理者往往為了經濟利益，以最小成本、最大限度內獲取信息主體的個人信息。默認同意是信息處理者獲取的常見同意類型之一，此外還有概括同意，即收集信息時不會告知收集何種信息、用于何種目的等與信息主體利益高度相關的內容。而且信息處理者還會以提供免費服務或者其他經濟激勵來換取信息主體的同意，信息主體可能為了經濟利益采取形式上同意。綜上來看，知情同意規則3個階段在網絡空間的異化共同導致了其適用流于形式的弊病。

2.2 隱私政策的適用困境

隱私政策是網絡服務提供者自律的重要工具，其一方面讓信息處理在法律框架內合法運行，減少了法律風險；另一方面使信息主體了解如何收集、使用、存儲和分享用戶信息，并提供撤銷同意的方式保護用戶的權益。隱私政策作為網絡服務提供者與用戶之間訂立的合同，其規定了雙方的權利和義務內容，屬于格式條款[6]。然而，網絡空間中隱私政策適用主要存在以下3個方面問題。一是許多用戶通常不閱讀隱私政策或者隱私政策設置默認同意。礙于用戶的理解能力，其通常只是簡單點擊同意并繼續，對于同意的內容還處于不明晰的狀態，而有些網絡服務提供者正是利用這一點，通過設置概括或者默認同意收集個人信息。二是隱私政策平衡問題?，F代互聯網企業通過收集和分析個人信息為信息主體提供個性化服務，增進用戶體驗。但隱私政策格式條款性質讓用戶處于劣勢地位，其為網絡服務提供者過度收集個人信息提供了有利性工具，壓榨了個人對個人信息享有的權益空間。三是隱私政策的監管上，受到行政機關的制約，行政機關對隱私政策的監管主要考慮內容合規性，在發生侵權事件后也以規制企業為重點，這不利于個人信息保護上國家義務的展開，且行政機關規制也是在侵權大規模、有損害后果發生后才介入，這顯然不利于個人信息保護。正是隱私政策內部與外部問題的交織導致了隱私政策網絡適用出現問題。

2.3 知情同意規則內在結構失衡

網絡服務提供者通過隱私政策來履行告知義務并尋求用戶同意。然而在現實中，多數網絡服務提供者僅強化邏輯鏈條的告知和同意兩端，忽略了網絡用戶的知情權導致出現邏輯斷裂的現象。首先，這種強化告知卻忽略用戶知情的錯位使知情權尚未得到實現，因此也無從談起用戶作出的同意內容上的真實性，即同意被架空。以默認同意為例，用戶需要專門查找和更改設置，而網絡服務提供者通常采用隱蔽的設計，使用戶很難找到或理解同意或拒絕個人信息收集的選項，這使得用戶在不經意間就同意了數據處理。其次，告知端再詳細也難以保障網絡服務提供者不會限制選擇或者強制同意。比如生活中常見的不接受隱私政策即無法獲得相應的服務，這種全有或全無的適用方式會帶來諸多問題。這種情況下，平臺通過限制用戶的選擇，強制用戶要么接受所有對個人信息的處理，要么完全停止使用服務，正是這種捆綁式的隱私政策為網絡服務提供者提供了風險規避的途徑[7]，通過一攬子同意取得個人信息已經屢見不鮮。為了規避法律責任，網絡服務提供者還會在履行告知義務上用合法包裝的形式增加用戶負擔，比如使用復雜、晦澀難懂的術語來描述隱私政策中如何收集、分析和共享個人信息。比如以“提升用戶體驗”“設備改進計劃”等方式迷惑用戶，使用戶在無法協商的情況下被迫接受。另外，還存在彈窗告知的形式，但彈窗告知會多次跳出來提示用戶選擇，用戶在缺乏理性的情況下連續點擊同意彈窗就會暴露自己的個人信息。因為，無論對于網絡服務提供者還是用戶來說，傳統知情同意規則的邏輯在網絡空間中無法發揮其正常功能，變革迫在眉睫。

3 網絡空間知情同意規則適用的應有之義

在用戶點擊同意并使用相應的服務時，網絡服務提供者與用戶之間就達成了合同關系，網絡服務提供者就可以依照隱私政策來收集、分析和共享個人信息。因此，此時的同意應當被認為具有意思表示的屬性，受到《民法典》中關于民事法律行為及《個人信息保護法》相關規定的約束。但網絡空間中的意思表示具有特殊性，具有重新認識其在網絡空間的內涵。

3.1 區分信息類型的知情同意規則

對不同類型的個人信息采取不同強度的同意模式是世界范圍內的普遍做法，這有助于保護個人隱私并確保信息處理合法。比如，歐盟的《通用數據保護條例》（GDPR）中規定和區分了在收集與處理數據時，針對個人數據需要征得數據主體的無爭議同意與針對敏感數據需要征得數據主體的明示同意兩種不同的同意類型[8]。并為同意增加了自愿給出的、特定的、知情的和無爭議的限定詞。相較于歐盟的統一立法模式，美國采取了分散立法與行業自律相結合的方式。比如加州的《消費者隱私法》（CCPA）要求企業在收集、使用和共享消費者個人信息時提供透明度，并為消費者提供選擇拒絕其信息被出售的權利。此外，企業通常通過隱私政策來告知用戶其信息的使用方式，并在必要時取得明示的同意。在特定行業如醫療領域，美國的《醫療保健信息可移植性和責任法案》（HIPAA）規定了對醫療信息的保護措施，并要求患者提供明確的同意，尤其是在共享或使用其醫療信息方面?？梢钥闯?，對于同意規則美國對同意結構的設置是選擇退出機制，非敏感數據應用事前同意具有很強的形式特征；在敏感信息場景下則強化事前同意?？傮w而言，美國采取分散立法，相較于行業自律模式，前者更有利于個人信息價值的發揮和信息高效流通，而歐盟的統一立法被稱為最嚴格的個人信息保護立法的原因在于對個人信息采取嚴格保護。

我國《個人信息保護法》對知情同意的規定依然遵循依個人信息類型區分使用同意規則。在知情同意規則設計上，《個人信息保護法》并沒有說明同意的概念，而是在第十四條以“在充分知情的前提下自愿、明確作出”來限定同意。對于敏感信息則采取單獨同意和書面同意的形式。由此可見，我國雖然也是依信息類型區分適用同意規則，但仍存在如下問題：一是對于同意的內涵和外延不明確，以知情、自愿和明確來限定同意實際是抽象對同意的描述，是一種簡化規定，需要在具體實踐中剖析其內涵；二是信息區分說本身受到個人信息定義模糊、信息聚合效應和技術重新識別等多重挑戰。對此，在網絡空間中知情同意規則應從靜態的、宏觀的適用走向場景化的、動態的判斷適用，不是所有的個人信息都以知情同意為合法基礎，這是推動信息社會發展和人格利益保護的內在要求，因此需明確知情同意規則在網絡空間中的適用邊界。

3.2 同意行為的法律屬性明晰

明晰同意行為的法律屬性對了解知情同意規則內涵、推動司法適用具有重要意義。目前，司法裁判中將同意視為意思表示，但是同意不一定與《民法典》中關于意思表示的規定相一致，因為用戶選擇同意隱私政策時內心一般沒有意思表示中的效果意思，即沒有追求特定的法律效果。從比較法的觀點來看，歐盟《通用數據保護條例》中將同意視為一種意思通知，美國的司法判例也不將隱私政策視為合同。如果將同意行為一律適用意思表示則會導致其在行為能力制度、撤銷的除斥期間制度下出現適用矛盾。但同意行為也可能是意思表示行為，當同意的意思內容與法律規定完全相同時，則所引發的自治效果與法定效果一致[9]?！睹穹ǖ洹返诰虐倬攀龡l允許個人對人格利益的經濟利用，且采用的半開放結構。那么用戶同意則可以將個人信息出賣來換取服務，其中存在對價關系。如果不存在對價關系則沒有效果意思，就不是意思表示。因此，同意行為是否是意思表示要看是否存在對價關系，而判斷對價關系則需要結合具體場景進行判斷。

4 知情同意規則網絡適用的類型化構建

同意行為的法律屬性可以表明其不是以單一屬性而存在，而是在具體的法律關系場景中判斷。因此，以是否存在對價關系為標準對網絡空間中的個人信息流通進行場景類型化構建，以明確知情同意規則在實踐中的適用內涵。

4.1 對價關系場景下的知情同意規則適用

存在對價關系的場景下，用戶可以將自己的個人信息許可給網絡服務提供者利用，網絡服務提供者為用戶提供服務或者產品。此種同意行為應當受到《民法典》中關于民事法律行為的約束，但是民事法律行為中默示也能構成同意的一種，這與《個人信息保護法》中對同意的限定為明確、自愿相差甚遠，但默示同意可以達成債法上的效果，據此就可以約束網絡服務提供者和用戶，雙方必須按照合同的內容享有權利和履行義務。根據《個人信息保護法》第十五條規定，用戶可以隨時撤回同意，因為個人信息承載的利益是多元的，既包括個人人格利益，也有信息處理者依投入的成本享有的經濟利益，甚至還有社會公共利益。個人利益作為其中最重要的保護核心，應當允許個人撤回同意。但對于生效的合同，用戶應當對網絡服務提供者承擔責任，這樣才能保護個人利益和網絡服務提供者的利益，使經濟發展與法律制度在實踐中實現耦合。因此，在對價交易關系中，知情同意規則是在民事法律行為框架下，受到《個人信息保護法》和《民法典》的雙重規制，其類型化特征在于雙方構成合同關系，當涉及一般個人信息時，合同雙方依照合同訂立和生效程序來達成交易；當涉及敏感個人信息交易時，顯然同意必須限定為單獨同意和書面同意，默示同意不能成為同意的一種。

4.2 非對價關系場景下的知情同意規則適用

非對價關系場景下用戶的同意行為不是民事法律行為，不具有效果意思。用戶同意隱私政策時一般內心沒有受到法律拘束的意思。因為用戶不會像訂立合同一般仔細閱讀合同條款，受巨大的時間成本和短期利益的影響，采取非理性行為是常態。此種解釋也能較為妥當地處理《民法典》與《個人信息保護法》之間的關系，非對價關系場景的隱私政策就不能認定為合同，因為立法者若已經通過《個人信息保護法》分配利益和風險，就應當優先適用《個人信息保護法》的規則[10]。比如《個人信息保護法》第十三條規定的其他處理個人信息的合法基礎，就不需要作出同意，即使同意不合格也不能實施同意撤回來阻卻信息處理活動。此外，非對價關系中的隱私政策還具有格式條款的性質，不是雙方經過合意達成的合同，《個人信息保護法》中沒有排除適用概括同意，因此可以在格式條款中應用概括同意。當然此種概括同意只限于一般個人信息流通，對于敏感個人信息需要遵守專門的同意規則。

5 結語

在明確知情同意規則所具有功能的基礎上，以功能性恢復為導向分析實踐中知情同意規則適用困境，明晰其網絡適用的具體內涵，結合個人信息類型進行場景類型化構建，達到恢復知情同意應有功能之目的。